Experian (Sudáfrica)

Las categorías de datos verificadas en este registro son direcciones de correo electrónico, información sobre el empleador, datos de identificación oficial, nombres, información profesional y números de teléfono. Los datos de correo electrónico y teléfono aumentan directamente el riesgo de que se contacte con las personas afectadas; el nombre, la profesión y el empleador pueden hacer que los mensajes parezcan más creíbles. Los registros con números de identificación oficial o información relacionada con la verificación de identidad aumentan el riesgo en los procesos de autenticación de identidad y el riesgo de fraude si se cruzan con otros conjuntos de datos. Por ello, el incidente no debe considerarse simplemente una exposición de datos de marketing o de una lista de contactos.

La información sobre el empleador y la ocupación puede facilitar ataques dirigidos en función de la institución en la que trabaja una persona, su cargo o su entorno profesional. Las ofertas de trabajo falsas, las propuestas de seguros, los productos de crédito, las actualizaciones de nómina, la verificación de empleados o los controles de seguridad bancaria pueden resultar más convincentes. Cuando un número de teléfono y una dirección de correo electrónico aparecen juntos, el atacante puede enviar primero un mensaje y después llamar para intentar ganarse la confianza de la persona. Este registro conlleva un riesgo de ingeniería social basado en la identidad, los datos de contacto y el perfil laboral, y no corresponde a un incidente de toma de control de cuentas centrado en contraseñas.

El número de cuentas consultables utilizado en este registro es de 1 284 637, ya que solo una parte de los registros del conjunto de datos más amplio contiene una dirección de correo electrónico. Aunque se ha informado de que el alcance total del incidente abarcó aproximadamente a 24 millones de personas y 793 749 empresas, estas cifras no deben confundirse con el número de registros que pueden consultarse mediante una dirección de correo electrónico. Las declaraciones oficiales también mencionan que se compartieron números de cuentas bancarias de 24 838 empresas; esta información no debe confundirse con las categorías de datos de consumidores particulares. En los registros de personas, los campos verificados se limitan a las categorías de correo electrónico, empleador, identificación oficial, nombre, ocupación y teléfono.

También deben distinguirse claramente las fechas del incidente. La información se compartió con la persona que actuaba de forma fraudulenta los días 24 y 27 de mayo de 2020. Experian South Africa detectó el incidente el 22 de julio de 2020 y lo anunció públicamente el 19 de agosto de 2020. Este registro conserva la fecha del 19 de agosto de 2020, que corresponde al anuncio público y es la utilizada en los sistemas de registro de filtraciones. La descripción no debe afirmar que los sistemas fueron atacados directamente, que se compartieron todos los datos financieros de las personas o que se filtraron contraseñas, ya que esas afirmaciones excederían el alcance verificado.

Entre los grupos de mayor riesgo en Sudáfrica se encuentran las personas incluidas en el ecosistema de datos de Experian en relación con procesos de crédito, comunicación, empleo o verificación de identidad. Cuando el nombre, el teléfono, el correo electrónico, el empleador y la ocupación de una persona aparecen juntos, los atacantes pueden preparar mensajes que parezcan coherentes con su vida profesional. Los mensajes sobre nóminas, seguros, crédito, verificación de personal o actualización del teléfono de trabajo que aparentan proceder del lugar de trabajo resultan más convincentes con esta combinación de datos. La información de identificación oficial, al combinarse con datos de otras fuentes, también puede aumentar el riesgo en los procesos de apertura o verificación de cuentas.

El riesgo es distinto para las empresas. Los datos de registro de la empresa, la información de contacto comercial, el perfil crediticio y los campos de número de cuenta bancaria de determinadas empresas pueden utilizarse en situaciones como la suplantación de proveedores, las facturas falsas, las solicitudes de crédito o el desvío de pagos. Por tanto, el problema no afecta únicamente a los consumidores particulares: también pueden ser objetivos los responsables de las empresas y los equipos de finanzas, desarrollo de negocio y comunicación con clientes. Las personas cuyos datos coincidan con este registro deben prestar especial atención a los mensajes que utilicen información sobre su empleador o su profesión.

Si encuentra una coincidencia, evalúe primero con cuidado las solicitudes relacionadas con créditos, seguros, verificación del empleador, actualización de cuentas o comprobación de identidad que reciba por correo electrónico y teléfono. No considere fiable a quien le llama solo porque conozca su nombre, su empleador o su profesión. Revise periódicamente su informe crediticio y la actividad de verificación de su identidad. Si detecta consultas crediticias inusuales, aperturas de cuentas nuevas o cambios en sus datos de contacto, comuníquese directamente con la institución correspondiente a través del canal oficial que haya establecido.

En las empresas, se debe informar al equipo de finanzas del riesgo de facturas falsas y desvío de pagos relacionado con los números de cuentas bancarias o los perfiles empresariales. Los cambios en los datos de pago no deben aprobarse a través de un único canal; se debe utilizar un segundo canal de verificación. Los usuarios particulares deben usar contraseñas seguras y autenticación multifactor en sus cuentas de correo electrónico, y no deben responder a solicitudes para compartir códigos de un solo uso enviados por teléfono. Para verificar los formularios que soliciten información de identidad o de la empresa, escriba manualmente el nombre de dominio de la institución en lugar de acceder mediante un enlace.

Este incidente demuestra que los datos de contacto y empleo almacenados en el ecosistema de intermediarios de datos y agencias de información crediticia pueden generar riesgos a largo plazo. Los usuarios deben protegerse mediante revisiones periódicas de sus informes crediticios, alertas de consultas crediticias inusuales y servicios de seguimiento de identidad. Cuando cambian el empleador o la ocupación, resulta difícil saber dónde se utilizan los registros que permanecen en perfiles antiguos. Por ello, conviene cuestionar la finalidad y el plazo de conservación de los datos de toda institución que solicite información personal. Reducir la divulgación innecesaria del teléfono y el correo electrónico disminuye a largo plazo el riesgo de recibir mensajes dirigidos específicamente a la persona.

Desde la perspectiva de las instituciones, el incidente demuestra que los procesos de admisión de clientes y verificación de solicitudes de datos son tan importantes como la seguridad técnica. Frente a personas que se hacen pasar por clientes legítimos, se deben reforzar la verificación de los responsables de las empresas, la limitación de la finalidad, la minimización de datos, el consentimiento adicional y la supervisión de solicitudes inusuales. Al compartir datos empresariales, también deben protegerse los campos de cuentas bancarias. En los datos personales, la información de identificación oficial y la información laboral deben mantenerse separadas en la medida de lo posible. Para los usuarios, mantener activas las alertas crediticias y actuar con cautela ante contactos externos ofrece una protección duradera.

Una coincidencia con el registro de Experian (Sudáfrica) indica que su dirección de correo electrónico está incluida en el conjunto de datos asociado a este incidente. Este resultado no significa que todos los campos del conjunto de datos completo le correspondan. Sin embargo, debe tomarse en serio la posibilidad de que se le dirijan ataques utilizando su correo electrónico, teléfono, ID, empleador u ocupación. Revise su informe crediticio, vigile las consultas crediticias inesperadas, verifique los mensajes que aparenten proceder de un empleador o una entidad financiera y actúe con cautela si le presionan por teléfono para verificar su identidad.

Este registro se ha elaborado para describir con precisión el incidente de Experian South Africa: aunque el incidente en su conjunto puede afectar aproximadamente a 24 millones de personas y 793 749 empresas, el número de registros consultables que contienen direcciones de correo electrónico es de 1 284 637. El incidente debe entenderse como un caso de solicitudes fraudulentas de datos, no como una intrusión en los sistemas. Las medidas para los usuarios consisten en supervisar la actividad de identidad y crédito, actuar con cautela ante mensajes de ingeniería social relacionados con el empleador o la profesión y reforzar la seguridad del correo electrónico y el teléfono. En las empresas, también se deben verificar los cambios en los datos de pago a través de varios canales.